EU-Datenschutz-Gesetz stellt neue Anforderungen
Das neue EU-Datenschutz-Gesetz, die Datenschutz-Grundverordnung (GDPR), die ab Mai 2018 für alle EU-Mitgliedstaaten gilt, stellt neue Anforderungen an Datenverantwortliche, im Speziellen an Data Protection Officer (DPO) in Unternehmen.
Mit dem neuen EU-Datenschutz-Gesetz, der Datenschutz-Grundverordnung (GDPR) beginnt im Mai nächsten Jahres eine neue Ära. Die GDPR gilt für alle Mitgliedsstaaten der Europäischen Union (einschließlich des Vereinigten Königreichs, vor und voraussichtlich auch nach dem Brexit). Bis heute wurde viel über Strafen und Sanktionen bei Verstössen diskutiert, darunter bis zu 20 Mio. Euro oder 4 Prozent des jährlichen weltweiten Umsatzes eines Unternehmens.
Dennoch scheint die Anforderung an die Rolle des Data Protection Officer (DPO) in Unternehmen bisher noch eine untergeordnete Rolle zu spielen. „In der Vergangenheit war die Rolle des DPO weitgehend undefiniert, denn das aktuell noch bestehende europäische Datenschutzgesetz stammt aus einer EU-Richtlinie von 1995, welche derartige Rollen und Aufgaben noch nicht in dem Masse berücksichtigt, wie in der GDPR“, erklärt Michael Veit, IT-Security Experte bei Sophos.
Neue IT-Instanzen
In jenen Tagen wurden Daten fast ausschliesslich im „Computing-Kontext“ gesehen und die ersten Personen, die den informellen Titel des DPO erhielten, hatten meist einen IT-Hintergrund. Sie waren diejenigen, die den Fluss von computergesteuerten Daten verstehen, identifizieren und „schützen“ konnten. Heute, in einer Zeit in der Technik unser Leben so sehr bestimmt, haben sich Rolle und Aufgabe eines DPO massgeblich verändert.
Heute ist der DPO die Instanz für Datenschutz innerhalb einer Organisation. Der DPO muss einem Unternehmen oder einer Organisation helfen, den gesetzlichen Verpflichtungen nachzukommen – auch hinsichtlich der Achtung der Privatsphäre von Privatpersonen.
Es geht generell um Sicherheit und diese beinhaltet nicht nur die Sicht auf die IT, sondern auch die Kompetenz in den Bereichen Recht, Compliance oder Kundenservice und viele mehr. Um die Richtlinien einzuhalten, formuliert die GDPR die Rolle eines DPO und verpflichtet auch deren Einsatz in Unternehmen und Organisationen. Zum Beispiel werden alle öffentlichen Einrichtungen einen DPO zwingend benötigen, um die Informationsfreiheit oder Menschenrechte zu garantieren.
Dies bedeutet auch, dass unter Umständen auch sehr kleine Organisationen oder Unternehmen in der gesetzlichen Pflicht stehen, einen DPO zu haben – zum Beispiel Gemeinden oder staatlichen Schulen.
Aber die Rolle ist auch für diejenigen Organisationen zwingend, deren Kerntätigkeiten eine „regelmässige und systematische Überwachung von Daten in grossem Massstab“ beinhalten oder wenn die Kernaktivitäten die Verarbeitung von besonders sensiblen Daten beinhalten – zum Beispiel Daten, die sich auf die ethnische Herkunft, religiöse Überzeugungen, Gesundheit, Sexualleben oder strafrechtliche Verurteilungen beziehen.
Hilfreiche Leitlinien
Gewisse und teilweise hilfreiche Leitlinien wurden von der Artikel-29-Arbeitsgruppe, einer Gruppe von Vertretern von Datenschutzbehörden der gesamten EU, erstellt.
Die GDPR beschreibt Strukturen (Qualitäten und Pflichten) eines DPO. Folgende Qualifikationen sind erforderlich:
- Möglichkeit von „unabhängigem“ Handeln
- Unabhängig von Anweisungen des Arbeitgebers
- Kenntnis des Datenschutzrechts
- Ausreichende Ressourcen zur Erfüllung der Aufgaben
- Bericht direkt an die höchste Management-Ebene
Gemäss Artikel 29 der Leitlinien, darf zusätzlich zur Qualifikation eines DPO kein Interessenkonflikt entstehen.
Einige Rollen im Unternehmen sind mit dem DPO nicht vereinbar, darunter beispielsweise der CEO, CFO, Marketingleiter, HR oder IT. Weitere Leitpunkte erklären beispielsweise, dass kritische „Kernaktivitäten“ nicht die Verarbeitung von Personalinformationen innerhalb einer Personalabteilung betreffen – jegliche gegenteilige Ansicht würde dazu führen, dass jedes Unternehmen, respektive jede Betriebsabteilung, einen DPO benötigen würde.
